if ( !emtpy($headline_subheadline ) ) : ?>
Si l’IA peut donner l’impression que les e-mails de phishing sont légitimes, vos employés sont-ils prêts ? Il est temps de tester leur réaction, pas seulement s’ils cliquent.
endif; ?>
« Le prix d’hier n’est pas le prix d’aujourd’hui », une phrase popularisée par Fat Joe en 2021, nous rappelle que ce qui a fonctionné hier n’offre peut-être pas la même valeur aujourd’hui.
En matière de cybersécurité, cela est important lorsque nous continuons à évaluer les employés par rapport aux techniques de phishing familières tandis que les attaquants utilisent l’IA pour créer des messages personnalisés plus convaincants. Après avoir mené plusieurs simulations de phishing, dont une en octobre 2026, je pense que nous devons nous poser une question plus difficile : préparons-nous les gens aux attaques de phishing auxquelles ils sont susceptibles de faire face aujourd’hui, ou testons-nous leur capacité à reconnaître ou à mémoriser les signes avant-coureurs que nous leur avons appris à s’attendre ? Que se passe-t-il lorsque ces signes avant-coureurs ne s’appliquent pas ou qu’ils font face à de nouvelles attaques ?
« Paysage de phishing » activé par l’IA
Les signes révélateurs traditionnels du phishing, pour lesquels nous formions les employés, deviennent de moins en moins fiables. L’IA générative peut aider les attaquants à produire des messages convaincants, à personnaliser les leurres et à améliorer la qualité de leur communication. Cela ne signifie pas que toutes les campagnes de phishing utilisent l’IA dans la réalité, mais cela place la barre plus haut quant à ce que les employés peuvent rencontrer..
Un rapport de 2025 de SC Media couvrant les recherches Egress a révélé que 75 % des kits de phishing examinés sur les marchés du dark web annonçaient des capacités d’IA, tandis que 82 % proposaient des fonctionnalités de deepfake. Ces chiffres concernent les kits analysés, plutôt que l’ensemble des activités de phishing, mais ils montrent que des fonctionnalités basées sur l’IA apparaissent dans les outils mis à la disposition des criminels. Ajoutez à cela le pic des récentes attaques de phishing avec des injections d’invites d’IA et vous réalisez rapidement que le paysage a changé.
Cela est important pour les programmes de sensibilisation. Si les employés apprennent principalement à rechercher les fautes d’orthographe, les salutations génériques ou les formats suspects, ils seront peut-être moins préparés à un message utilisant des noms familiers, un contexte commercial pertinent et un langage professionnel lorsque les attaquants utilisent l’IA pour les rédiger. La formation doit mettre l’accent sur la vérification plutôt que sur la simple reconnaissance, et les demandes inattendues doivent être vérifiées via un canal fiable, même lorsque le message semble légitime.
Les taux de clics ne font pas tout
Les simulations de phishing produisent souvent un titre et des statistiques simples : le pourcentage de destinataires qui ont cliqué sur un lien, saisi leurs informations d’identification et supprimé ou signalé le message. Il s’agit de mesures faciles à communiquer, à comparer et à suivre au fil du temps, ainsi qu’à présenter à la haute direction lors de réunions, mais elles ne fournissent qu’une partie du tableau.
Imaginez deux groupes avec le même taux de clics. Dans l’un d’entre eux, les employés qui soupçonnent un message le signalent rapidement, ce qui permet à l’équipe de sécurité d’enquêter, de détecter d’autres personnes susceptibles de l’avoir reçu et d’avertir les autres destinataires. Dans l’autre, les gens suppriment le message ou l’ignorent sans le signaler. Les taux de clics peuvent sembler identiques, mais la capacité de l’organisation à détecter une véritable campagne est différente.
Les taux de déclaration et les délais de déclaration méritent donc plus d’attention. Les équipes de sécurité doivent comprendre si les employés utilisent le canal de signalement approuvé, à quelle vitesse les messages suspects parviennent aux analystes et si ces rapports conduisent à une action efficace. Les orientations du Centre national de cybersécurité sur le phishing fournissent des conseils pratiques sur la reconnaissance et le signalement des messages suspects. Les organisations devraient les afficher sur leur site Web ou sur leurs portails RH.
Comme je l’ai constaté dans les multiples simulations que j’ai effectuées, les résultats doivent également être interprétés avec soin. Un test est un exercice contrôlé et non une garantie du comportement d’une personne lors d’une attaque réelle, qui pourrait dépendre de l’état d’esprit du destinataire. Les employés peuvent reconnaître des modèles familiers ou apprendre les modèles utilisés dans des campagnes répétées. Cliquer sur un lien simulé ne signifie pas non plus automatiquement que quelqu’un compromettrait l’organisation lors d’un incident réel.
L’objectif devrait être d’identifier les faiblesses et d’améliorer la sécurité, et non de classer les employés en fonction de leur fréquence de réussite ou d’échec, et cela devrait se refléter dans la manière dont les messages d’échec sont transmis.
Testez la réponse et la personne
Les simulations de phishing doivent évoluer en fonction des menaces qu’elles sont censées représenter. Les scénarios doivent refléter des situations commerciales réalistes, notamment le partage inattendu de documents, les demandes de fournisseurs et les tentatives d’usurper l’identité de collègues de confiance au lieu de cliquer sur des liens ou de fournir uniquement des informations d’identification. Les employés doivent apprendre à vérifier les demandes inhabituelles et à signaler les attaques suspectées sans crainte d’embarras ou de punition. D’après l’expérience, cela peut comporter de nombreux éléments mobiles, comme des boîtes aux lettres personnalisées, un écart par rapport à la norme de simulation et plusieurs niveaux d’approbation avant que des exercices comme celui-ci puissent être effectués, mais cela en vaut la peine.
Les équipes de sécurité doivent également évaluer ce qui se passe après l’arrivée d’un message suspect. À quelle vitesse est-il signalé ? Les analystes peuvent-ils identifier et contacter d’autres destinataires qui ont éventuellement répondu au message ? L’organisation peut-elle supprimer le message des boîtes de réception, bloquer l’infrastructure malveillante et enquêter sur une éventuelle compromission de compte ? Ces questions relient les tests de sensibilisation à la préparation opérationnelle.
Le même principe s’applique aux exercices incidents. Les équipes de sécurité, informatiques, financières et commerciales concernées doivent savoir quoi faire lorsqu’une véritable attaque de phishing réussit, ce qui sera inévitablement le cas un jour. Un programme qui améliore les rapports et les réponses peut apporter de la valeur même s’il ne peut pas empêcher chaque employé de cliquer.
L’IA continuera de changer la façon dont les messages de phishing sont créés et transmis, et la sensibilisation à la sécurité doit évoluer avec elle. La question est de savoir si l’organisation peut vérifier une activité suspecte, détecter une attaque et limiter son impact lorsque le message semble tout à fait légitime et est donc susceptible d’être cliqué.
Les tests d’hier peuvent encore enseigner des leçons utiles mais ne devraient pas définir la préparation de demain.
